分析傳輸層安全性是現代網際網路的基礎。它是HTTPS加密網站安全連線的基礎，一方面。然而，對於那些擔心線上匿名的人來說，它的尾巴可能會受到刺激。申請HTTPS證書 >>

隱私權倡導者長期以來一直警告各種形式的網路跟蹤所帶來的風險。這些包括cookie，網路信標和太多的指紋識別形式。

對這個問題的認識有所幫助。Apple最近在Safari for MacOS Mojave和iOS 12中推出了改進的跟蹤保護功能。今年早些時候，Firefox推出了一款名為Facebook Container的反跟蹤外掛，其中包括其他改進。像Brave和Tor Browser這樣的瀏覽器繼續提供更廣泛的隱私功能。

然而，與網路跟蹤相關的隱私風險仍然存在，現在看來還有另一種跟蹤人們線上的機制。歸咎於德國漢堡大學的研究人員最近擴大了隱私攻擊面。

在本週通過ArXiv分發的一篇論文中，電腦科學家Erik Sy，Hannes Federrath，Christian Burkert和Mathias Fischer描述了一種涉及傳輸層安全（TLS）會話恢復的新型跟蹤技術。

棘手的談判

TLS（早期版本中的SSL）應該是廣泛熟悉的加密協議，用於在客戶端和伺服器之間傳輸時保護Web通訊。最新版本是1.3。

例如，在訪問HTTPS網站時建立TLS連線涉及通過網路進行的一些來回協商。因此，有一種方法可以通過較少的儀式恢復以前建立的會話：TLS會話恢復。

這樣做的技術在TLS 1.3和舊版本規範之間有所不同 - 0-RTT / 1-RTT（往返時間）通過預共享金鑰（PSK）代表最新機制，而傳統方法涉及會話ID和會話門票。

除了精細的區別之外，這些技術有點像在一些事件上蓋上一隻手，以便離開然後返回而不需要再次支付入場費用。嗯，不是真的。但是，讓我們把它留在那裡，以避免討論TLS握手奧祕。

關鍵是會話恢復依賴於在初始握手期間傳遞給客戶端裝置的識別符號。並且因為此識別符號 - 會話ID，會話票證或PSK身份 - 在瀏覽器的TLS快取中持續存在，所以可以像跟蹤任何其他數字識別符號一樣對其進行跟蹤。

對於在臺式計算機上執行的瀏覽器來說，這不是問題，只要使用者經常重啟瀏覽器即可。但研究人員發現，移動裝置可能需要數天甚至數週（給定充電時間），而無需重啟瀏覽器。

會話恢復識別符號具有不同的到期時間。伺服器可以提供非繫結ticket_lifetime_hint欄位，以秒為單位指定識別符號的生存期為32位無符號整數。這可能允許大約68年的壽命。但是，TLS 1.2和TLS 1.3分別要求24小時和7天更長時間限制票證生命週期。

可能會更糟，但仍然不好

Sy，Federrath，Burkert和Fischer發現，Alexa Top Million中80％的TLS會話門票網站設定了10分鐘或更短時間的終身提示。其餘約10％設定了至少24小時的終身提示。

他們指出，Facebook和谷歌，由於他們的行為廣告業務，指定會話恢復票的生命週期比大多數。Facebook的終身提示設定為48小時，高於所有會議門票提示的99.99％。谷歌28小時的價值超過了Alexa百萬網站的97.13％。

閱讀更多

但是，如果在此之前可以放置相關識別符號，則會話恢復票證的到期不一定會移除跟蹤使用者的能力。

研究人員觀察到，當客戶端嘗試恢復會話時，它會將其TLS會話恢復識別符號傳送給伺服器，無論會話是恢復還是拒絕。然後，該顯示的資料可以由同一使用者與新建立的會話相關聯。

研究人員觀察到，網站可以在每次訪問時釋出新的會話識別符號，“只要兩次訪問之間的時間不超過使用者瀏覽器的會話恢復生命週期，就可以無限期地跟蹤使用者。”

有點徘徊

但是，大多數Web瀏覽器的預設配置可降低風險。在所調查的45個瀏覽器中，三分之二僅允許會話ID和會話票證機制的會話恢復壽命長達60分鐘。

即便如此，對於大多數瀏覽器來說，跟蹤使用者超過一週似乎是可能的。

“我們的結果表明，在許多當前瀏覽器中，通過會話恢復生命週期的標準設定，普通使用者可以被跟蹤長達8天，”該報說。“會話恢復生命週期為7天，作為TLS 1.3版草案的建議上限，我們資料集中65％的使用者都可以永久跟蹤。”

由於缺乏會話恢復支援，研究人員挑選了三個隱私友好的瀏覽器--JonDoBrowser，Orbot和Tor Browser。其他四種瀏覽器 - 360安全瀏覽器，Konqueror，Microsoft Edge和Sleipnir - 限制對第三方的會話恢復支援。

為了降低通過TLS會話恢復識別符號進行跟蹤的風險，boffins建議將TLS 1.3中指定的七天會話恢復時間減少到10分鐘，並確保瀏覽器製造商解決第三方跟蹤方案。

“最有效的技術是完全禁用瀏覽器中的TLS會話恢復，”他們總結道。

至關重要的是，不要放棄TLS和HTTPS,它們對於在今天的網際網路上保持安全是非常寶貴的。不過瀏覽器和網站開發人員：請重新考慮會話恢復。

參考來源：theregister